Является ли /dev/random действительно случайным?

Единственная вещь в этой вселенной, которую можно считать истинной, — это та, что основана на квантовых эффектах. Типичным примером является радиоактивный распад. Для некоторых атомов можно быть уверенным только в периоде полураспада, но нельзя быть уверенным, какое ядро ​​распадется следующим.

Насчет /dev/random - зависит от реализации. В Linux в качестве источников энтропии используются:

Ядро Linux генерирует энтропию из таймингов клавиатуры, движений мыши и таймингов IDE и делает случайные данные символов доступными для других процессов операционной системы через специальные файлы /dev/random и /dev/urandom.

Вики

Это означает, что он лучше, чем алгоритмические генераторы случайных чисел, но и не идеален. Энтропия не может быть распределена случайным образом и может быть смещена.

Это была философия. Практика такова, что в Linux /dev/random достаточно случайна для подавляющего большинства задач.

Существуют реализации генераторов случайных чисел, которые имеют больше источников энтропии, включая шум на аудиовходах, датчики температуры процессора и т. д. В любом случае они не соответствуют действительности.

Есть интересный сайт, где можно получить настоящие случайные числа, сгенерированные радиоактивным распадом.

Строго говоря, /dev/random не является действительно полностью случайным. /dev/random питается от аппаратных источников, которые предполагаются в некотором роде непредсказуемыми; затем он смешивает такие данные, используя функции (в основном хеш-функции), которые также предполагаются односторонними. Таким образом, «истинная случайность» /dev/random связана с присущей функциям микширования безопасностью, безопасность которой гарантирована не более, чем безопасность любого другого криптографического примитива, в частности PRNG, скрытого в /dev/urandom.

Разница между /dev/random и /dev/urandom заключается в том, что первый будет пытаться сохранить оценку (что означает «дикое предположение») того, сколько энтропии он собрал, и откажется выводить больше битов, чем это. С другой стороны, /dev/urandom с радостью создаст мегабайты данных из имеющейся у него энтропии.

Разница в безопасности между этими двумя подходами не имеет смысла, если вы не предполагаете, что «классические» криптографические алгоритмы могут быть взломаны, и вы используете один из очень немногих информационно-теоретических алгоритмов (например, OTP или раскрытие секрета Шамира< /а>); и даже в этом случае /dev/random можно считать более безопасным, чем /dev/urandom, только если функции смешивания по-прежнему считаются односторонними, что не совместимо с идеей, что классический криптографический алгоритм может быть взломан. Так что на практике и даже в теории нет никакой разницы. Вы можете использовать выходные данные /dev/urandom для одноразового пароля, и они не будут нарушены из-за какой-либо внутренней структуры /dev/urandom — фактическое управление полученным потоком будет слабым местом (особенно долговременное хранение). С другой стороны, у /dev/random есть вполне реальные практические проблемы, а именно то, что он может блокироваться в несвоевременные моменты. Это действительно утомительно, когда автоматическая установка ОС блокируется (на несколько часов!), потому что генерация ключей SSH-сервера настаивает на использовании /dev/random и без необходимости останавливается из-за энтропии.

/dev/random будет блокироваться, если в пуле энтропии недостаточно случайных данных, а /dev/urandom — нет. Вместо этого /dev/urandom вернется к PRNG (документы ядра). Из тех же документов:

Генератор случайных чисел [пул энтропии] собирает окружающий шум от драйверов устройств и других источников в пул энтропии.

Таким образом, /dev/random не является алгоритмическим, как PRNG, но может и не быть «по-настоящему случайным». Движения мыши и время нажатия клавиш, как правило, следуют шаблонам и могут использоваться для эксплойтов. но вам придется сопоставить риск с вашим вариантом использования.

Чтобы получить случайное число между x и y с помощью /dev/random, при условии, что вас устраивает 32-битное целое число, вы можете посмотреть, как Java класс java.util.Random делает это (nextInt()), подставляя соответствующий код для чтения из /dev/random вместо метода nextBytes().